Googleがクラウドコンピューティングの言語としてPythonを採用したのでセキュリティ研究家が脆弱性を調査し、今年はPythonの脆弱性が多く報告されるはず、とこのブログで予想しています。また新たな脆弱性が報告されているので書いておきます。 今回は整数オーバーフローが多いので、整数オーバーフローを中心に調査したのだと思われます。 Python 2.5.3…

PHP4のサポート終了に伴い、幾つかの未修正のセキュリティホールについてPHP Security Response Teamとやり取りしています。 ついでなので出来る限り多くの脆弱性が修正されるようにしたいと考えています。PHP4.4.8, PHP 5.2.6で未修正の脆弱性やセキュリティ上の問題をご存知の方は是非教えて下さい。 現時点はどの脆弱性をレポート…

桝形さんから http://blog.ohgaki.net/php-5-2-strict-session　 で公開したパッチのPHP4.4.8版を送っていただきました。私のWikiにも添付ファイルとして掲載させていただきました。 http://d.hatena.ne.jp/masugata/20080714#p2 に掲載されているパッチと同じパッチです。 私…

最近CVEのコピー&ペーストが続いていますがこのブログに書いていた予想通りの展開なのでまたコピーです。 コアとはいえあまり重要ではない箇所の脆弱性ですが、Python 2.5.3にリモートコード実行の可能性がある脆弱性がレポートされています。 CVE-2008-1679 Overview Multiple integer overflows in i…

なるほど、と思いました。 http://d.hatena.ne.jp/hoshikuzu/20080328 文字エンコーディングを規格に則り、完全にバリデーションしてもダメな時がある... 頭が痛い問題です。

件名の通り、APCのStack Overflow脆弱性が公開されています。 http://sla.ckers.org/forum/read.php?3,21615,21615#msg-21615 このポストに書いてある通り、PHP4ではインクルード攻撃に脆弱なアプリならallow_url_fopenをoffにしていても効果はありません。PHP4+APCを使っ…

OCamlはプログラミングコンテストで優勝するチームや開発者御用達の言語であることは以前から知っていましたが、個人的に利用しようと思ったありませんでした。しかし、最近関数型言語の人気が非常に高まってきています。関数型言語の簡潔なコードや副作用の少ないコードの生産性が認められてきたからだと思います。 OCamlを勉強しようかと思いましたが、Amazonでちょう…

2月16日に札幌で行われたJPUG北海道 RUBY札幌 合同セミナーの資料です。 http://blog.ohgaki.net/media/users/yohgaki/PostgreSQL-Performance.pdf セミナーの際には風邪の為、声がでず、非常に聞き辛かったと思います。聞きにお越しいただいた方には申し訳ないです。 fsync=falseなの…

PHPのTaintモードパッチです。最近更新されていたようです。 ftp://ftp.porcupine.org/pub/php/php-5.2.5-taint-20080130.README.html Taintモードはあれば良い程度の機能ですが、フールセーフ機能（フェイルセーフでなくフールセーフ - fool safe）としては便利です。入力バリデーショ…

まずホワイトリストの基本中の基本は”デフォルトで全て拒否する”であることに注意してください。全て拒否した上で許可するモノを指定しないとホワイトリストになりません。 例えば、CSPはホワイトリストで不正なJavaScriptの実行を防止する仕組みです。2016年のGoolgeの調査によると95%のCSP定義が、実際にはJavaScriptインジェクション脆弱性…